Auparavant, il était communément admis que les menaces pesant sur la sécurité des données provenaient principalement de l’extérieur et non de l’intérieur ; c’est pourquoi des mesures de sécurité et de protection des données avaient été mises en place à l’intention des tiers. Ce n’est que ces dernières années que de nombreuses entreprises ont pris conscience que la divulgation ou la destruction de données sensibles par des employés pouvait avoir des conséquences incalculables pour l’entreprise.Ce changement de perception a pris son essor à la suite de l’affaire Edward Snowden : ce dernier, ancien technicien sous-traitant de la NSA (Agence nationale de sécurité américaine), a dérobé des documents hautement confidentiels de la NSA.
Outre l’affaire Snowden, un rapport rendu public par Boscom remet également en question l’idée selon laquelle « les principales menaces pesant sur les données des entreprises proviennent de l’extérieur : pirates informatiques, espions industriels et autres concurrents ».Ce rapport révèle un fait inquiétant : près de 85 % des employés qui quittent leur poste emportent avec eux des données sensibles de l’entreprise. De plus, il est relativement facile pour un employé de s’emparer de données confidentielles et sensibles avant de quitter l’entreprise. Bien que les informations volées par Edward Snowden à la NSA aient présenté un intérêt médiatique considérable, elles ont également mis en évidence les graves conséquences des fuites de données provenant de l’intérieur.
Au vu de ce qui précède, on comprend aisément pourquoi il est si difficile pour les entreprises de garantir la sécurité de leurs données, d’autant plus que ces risques proviennent de leurs propres collaborateurs. L’accès des collaborateurs aux données internes de l’entreprise relève des exigences de leur travail. Imposer des restrictions d’accès risquerait de perturber leur travail quotidien, voire de compromettre le bon fonctionnement de l’entreprise dans son ensemble. Ce dilemme est-il donc sans issue ?
Examinons ce dilemme à travers un cas concret lié à notre secteur : celui des sociétés de courtage en devises.
Une société de courtage comporte différents services, dont les droits d’accès varient selon les services. Qu’il s’agisse des commerciaux, de l’équipe marketing (comme les spécialistes du marketing par e-mail) ou des différentes catégories de clients, il convient de configurer un logiciel permettant de restreindre la visibilité des informations en fonction des services et des postes. En effet, si un employé accède à des informations ne relevant pas de ses autorisations, cela peut entraîner une faille de sécurité des données.C’est pourquoi il est essentiel de répartir les autorisations d’accès aux données en fonction des postes. C’est également le seul moyen dont disposent actuellement les sociétés de courtage pour protéger leurs informations contre les menaces internes potentielles, sans pour autant nuire à la productivité.
Système de gestion de la relation client (CRM) et technologies de chiffrement des données
Sur le plan technique, les outils les plus adaptés aux sociétés de courtage pour protéger leurs données sont le système de gestion CRM et les technologies de chiffrement des données. Le premier permet à la direction de déterminer qui a accès à quelles données, tandis que le second empêche toute personne non autorisée d’accéder aux informations via des appareils externes (comme dans le cas de pirates informatiques).L’un des avantages de ces technologies de chiffrement réside dans le fait qu’elles empêchent les employés mal intentionnés de transmettre à l’extérieur des données confidentielles de l’entreprise ; en effet, si les données transmises ne sont pas correctement déchiffrées, elles deviennent inutilisables.
Afin de mieux mettre en œuvre les mesures susmentionnées, il est encore plus important pour les courtiers de définir une stratégie de mise en œuvre des dispositifs de sécurité des données. Cela signifie que les mesures techniques sont déterminées par les règles et réglementations, et non par les moyens disponibles.Outre la mise en place de mesures de protection techniques, la direction doit également définir clairement des règles internes, telles que l’interdiction d’utiliser des clés USB au sein de l’entreprise ou l’interdiction pour les employés de se connecter au système à l’aide du compte d’une autre personne, etc. Ces exigences semblent aller de soi et doivent être respectées par tous les employés sans qu’il soit nécessaire de les stipuler explicitement ; cependant, dans la pratique, elles ne sont pas si faciles à faire respecter.
Les failles de sécurité sont omniprésentes
L’affaire Edward Snowden nous a fait prendre conscience que les failles de sécurité sont omniprésentes. Après tout, si même les données de la puissante Agence nationale de sécurité américaine (NSA) peuvent être facilement volées, qu’en est-il alors d’une simple entreprise ? En réalité, des mesures de sécurité des données appropriées peuvent réduire considérablement la vulnérabilité des données d’une entreprise.En évoquant l’affaire Edward Snowden, il convient également de garder à l’esprit quels types d’acteurs volent quels types d’informations : la NSA dispose de davantage d’informations confidentielles qu’une entreprise ordinaire, et ses agents sont prêts à prendre des risques plus importants pour obtenir ces informations.Si Edward Snowden et ses acolytes ont volé des informations pour des raisons liées à leurs valeurs, le vol de secrets d’affaires est quant à lui motivé par l’appât du gain et la recherche de profits. Par conséquent, les mesures visant à empêcher le vol de secrets d’affaires sont, relativement parlant, plus simples et plus abordables.
En résumé, nous vivons dans un monde où les risques liés aux données sont omniprésents, mais il existe également de nombreuses solutions techniques et procédures opérationnelles standard permettant de réduire considérablement ces risques.Vous devez rester vigilant et anticiper les menaces potentielles en matière de sécurité des données, mais n’oubliez pas que, bien que ces menaces soient omniprésentes, elles restent maîtrisables ; il n’est pas nécessaire de sacrifier la productivité et les bénéfices de l’entreprise au nom d’une sécurité des données excessive.
